Bedrohungsanalyse · Juni 2026
Das Mythos
Feldbericht
Wir haben beobachtet, wie sich Anthropics Mythos in realen Unternehmensumgebungen bewährt hat. Das haben wir herausgefunden – und das hat KI-gestützte Angriffe tatsächlich gestoppt.
Scrollen Sie, um unsere Ergebnisse zu sehen, oder schnappen Sie sich das Mythos Readiness Kit und bringen Sie es direkt zu Ihrer Führungsebene.
~2 Std
Vom ersten Zugriff bis zur vollständigen domänenübergreifenden Kompromittierung
KI-gestützte Angriffsstrategien werden so schnell ausgeführt, dass für eine menschliche Reaktion kein realistisches Zeitfenster bleibt.
Unsere Ergebnisse: Wichtigste Erkenntnisse aus dem Mythos-Feldbericht
Sechs Erkenntnisse, die jeder Verantwortliche für Sicherheit und Identitätsmanagement kennen sollte
Diese sechs Erkenntnisse sind nicht theoretisch. Sie stammen aus dem Einsatz von Mythos in Unternehmensumgebungen und der Beobachtung, welche Kontrollmechanismen das Problem schließlich behoben haben.
01
KI-gestützte Angriffe laufen über die Identität
Mythos benötigt nicht immer eine CVE. In einigen Fällen entdeckte, plante und verknüpfte es bestehende vertrauenswürdige Konten, überwand Domänen und nutzte Fehlkonfigurationen (wie wiederverwendete Anmeldeinformationen, übermäßig privilegierte Konten und schwache Authentifizierungsabläufe) aus, um innerhalb von weniger als zwei Stunden eine vollständige Domänenkompromittierung zu erreichen.
02
Active Directory und die lokale Infrastruktur ist ein primäres Ziel
Mythos zielt auf lokale Infrastruktur ab und Active Directory Konkret haben wir beobachtet, wie es RC4-Schwachstellen, schwache Zertifikate und falsch konfigurierte Domänenkontrollen ausnutzte. Es versteht, dass die Übernahme von Active Directory So gewinnt man, und es arbeitet methodisch auf dieses Ziel hin.
03
Die Mathematik des Schwachstellenmanagements hält nicht.
Wenn Unternehmen mit Mythos scannen, finden sie Tausende von Schwachstellen, was ein schnelles Patchen unrealistisch macht. Selbst wenn Patches installiert werden könnten, müssen sich KI-Modelle bewegen, auf Ressourcen zugreifen und Netzwerke durchqueren. Dabei nutzen sie Identitäten und Zugriffsrechte.
04
Die statische IGA-Technologie bricht komplett zusammen
KI-gestützte Angriffe bewegen sich schneller und passen sich auf eine Weise an, die vordefinierte Regeln schlichtweg nicht vorhersehen können. KI-Agenten sind kurzlebig, können mehrere Identitäten annehmen und agieren nicht deterministisch. Governance ist wichtig, aber regelmäßige Überprüfungen reichen nicht mehr als primäres Kontrollinstrument aus.
05
Die Erkennungsmethode bot kein realistisches Zeitfenster für eine menschliche Reaktion.
Da die Ausbruchszeit nur Minuten beträgt, erfolgt die Erkennung zu spät. Mythos nutzt mehrere Angriffsvektoren gleichzeitig, erzeugt in einem Bereich Störungen und breitet sich in einem anderen seitlich aus. Bis Sie reagieren, hat der Angreifer bereits Zugangsdaten abgegriffen und ist weitergezogen. Sie reagieren dort, wo er war, nicht dort, wo er sich befindet.
06
Dienstkonten und Maschinenidentitäten sind häufig das Hauptziel
Nicht-menschliche Identitäten verfügen über privilegierte Zugriffsrechte, oft ohne Verhaltensgrundlagen oder kompensierende Kontrollmechanismen. In einem Beispiel wurde ein Dienstkonto regelmäßig zur Rechteausweitung missbraucht – bis eine virtuelle Absicherung dieses Kontos eine vollständige Kompromittierung der Domäne verhinderte.
Was hat es letztendlich gestoppt?
Inline- und Laufzeit-Identitätskontrollen stoppen Angriffe sofort.
Mythos zeigte uns etwas Einfaches: KI-gestützte Angreifer agieren schneller, als herkömmliche Sicherheitsmechanismen reagieren können. In diesem Umfeld erwiesen sich folgende Kontrollmechanismen als wirksam: direkt im Authentifizierungsablauf tätig, bevor der Zugriff gewährt wurde.
Der Laufzeitansatz machte den Unterschied. Die Durchsetzung war Inline-, bevor eine seitliche Bewegung oder eine Eskalation der Privilegien beginnen konnte.
"Oh Scheiße! Wir müssen den Betrieb einstellen." Silverfort weil wir die Übung nicht durchführen können.“
Rotes Team
On Silverfort Verhinderung einer Mythos-basierten Red-Team-Übung
Die Reparatur
Drei Kontrollmechanismen, die KI-gestützte Angriffe tatsächlich stoppen
Alle drei haben eine entscheidende Gemeinsamkeit: Sie arbeiten inline, zum Zeitpunkt der Authentifizierung, bevor der Zugriff gewährt wird. Weil Laufzeit-Computing reaktives Computing in jeder Hinsicht übertrifft.
01
Schützen Sie risikoreiche Zugriffe mit einer zusätzlichen Authentifizierungsmethode.
KI-gestützte Angreifer nutzen gültige Anmeldeinformationen und übermäßige Berechtigungen aus. Adaptive Authentifizierung kombiniert Multi-Faktor-Authentifizierung (MFA), risikobasierte Zugriffsrichtlinien und Just-in-Time-Zugriff (JIT). Zugriffsentscheidungen werden in Echtzeit angepasst, um privilegierte Zugriffe bei auftretenden Risiken zu schützen, ohne unnötige Reibungsverluste im Geschäftsbetrieb zu verursachen.
Wichtigste Lektion: Statische Richtlinien altern schnell. Zugriffsentscheidungen sollten sich in Echtzeit genauso schnell anpassen wie die Angreifer.
02
Am effektivsten
Virtuelle Zaun-Servicekonten, ohne kritische Prozesse zu beeinträchtigen
Servicekonten gehören zu den schnellsten Wegen zur Rechteausweitung – und stellen gleichzeitig eines der am schwersten zu behebenden Risiken dar. Die meisten Unternehmen wissen, welche Konten ihnen Sorgen bereiten, fürchten aber, kritische Prozesse zu beeinträchtigen. Virtueller Schutz beseitigt diesen Zielkonflikt, indem er die Nutzung von Servicekonten einschränkt, ohne deren Funktionsweise zu verändern.
„Die beste Kontrollmaßnahme war zweifellos die Absicherung von Servicekonten. Dadurch wurde ein bekannter Weg zur Kompromittierung einer Domäne unbrauchbar gemacht.“ – Leiter der Sicherheitsabteilung
03
Angriffe durch Identitätssegmentierung eindämmen
Angreifer benötigen nur eine kompromittierte Identität. Sie brauchen jedoch viele vertrauenswürdige Wege, um diese zu einem Sicherheitsvorfall zu nutzen. Identitätssegmentierung schränkt die Ausbreitungsmöglichkeiten kompromittierter Konten ein, reduziert die laterale Verbreitung und verhindert, dass kleinere Sicherheitslücken zu Betriebsunterbrechungen führen.
Wichtigste Lektion: Es ist unrealistisch, jeden Sicherheitsvorfall zu verhindern. Die Auswirkungen auf Unternehmen lassen sich begrenzen, indem man Angreifer daran hindert, eine kompromittierte Identität in viele weitere umzuwandeln.
Stiftung
Stärkung der Vertrauensketten
KI-gestützte Angreifer erfinden keine neuen Wege. Sie finden die kürzesten bestehenden. Schwache Vertrauensbeziehungen, übermäßige Berechtigungen und schlecht geschützte Authentifizierungsprozesse schaffen direkte Wege zur Rechteausweitung und zum Zugriff auf kritische Systeme.
Durch die Stärkung von Vertrauensketten werden diese Schwachstellen beseitigt, bevor Angreifer sie ausnutzen können, wodurch das Risiko reduziert wird, bevor Laufzeitkontrollen überhaupt eingreifen müssen.
"Silverfort ist phänomenal. Es hat Mythos' Ausbreitungsversuche im Netzwerk blockiert. Irgendwann mussten wir es deaktivieren. Silverfort„Verteidigungsmaßnahmen, um weitere Tests zu ermöglichen.“
— Leiter der Sicherheitsoperationen
Sind Sie bereit für KI-gestützte Angriffe?
Was dies für Ihre Rolle bedeutet
Die Angriffsketten haben sich nicht verändert. Die Geschwindigkeit hat sich geändert. Was das für dich bedeutet, hängt von deiner Position ab.
Der Vorstand fragt, ob Sie auf KI-gestützte Angriffe vorbereitet sind. Die ehrliche Antwort: Sie benötigen einen zusätzlichen Kontrollpunkt, der mit KI-Geschwindigkeit arbeitet.
Ihre Identitätsinfrastruktur ist das primäre Ziel und die letzte Verteidigungslinie.
Angreifer wählen stets den Weg des geringsten Widerstands, und KI-gestützte Angreifer bilden da keine Ausnahme. In der Mythos-Übung erwies sich die Identität als Schlüssel zur lateralen Ausbreitung, zur Ausweitung von Berechtigungen und zum Zugriff auf kritische Systeme. Da Angriffe immer autonomer werden, ist die Resilienz der Identität nicht länger nur eine weitere Kontrollinstanz – sie ist oft das letzte Hindernis zwischen Kompromittierung und schwerwiegenden Folgen.
„Von einem Sicherheitsverstoß ausgehen“ war schon immer richtig. Die KI hat die Bedeutung dieser Regel nun verschärft.
Zugangsdaten werden kompromittiert und Fehlkonfigurationen auftreten. Das ist nichts Neues. Neu ist jedoch die Geschwindigkeit, mit der KI-gestützte Angreifer diese Schwachstellen finden und ausnutzen können. Die Frage ist nicht mehr, ob Angreifer eindringen, sondern wie schnell man sie daran hindert, weiter vorzudringen.
Ihre Steuerungselemente setzen Zeit voraus. KI-gestützte Angriffe beseitigen sie.
Governance und Schwachstellenmanagement bleiben unerlässlich, unterliegen aber administrativen und Behebungsfristen. Die Erkennung ist entscheidend, beginnt aber definitionsgemäß erst, nachdem verdächtige Aktivitäten bereits stattgefunden haben. KI-gestützte Angriffe verkürzen die Zeitspanne zwischen Kompromittierung und Auswirkung und lassen kaum Zeit für menschliches Eingreifen. Sie benötigen Kontrollmechanismen, die riskante Zugriffe in Echtzeit unterbinden, bevor es zu Betriebsunterbrechungen kommt.
Die Antwort
Identität kann ein glaubwürdiger Kontrollpunkt sein
Jeder Schritt, bei dem gewöhnlicher Zugriff wesentliche Auswirkungen auf das Geschäft hat – laterale Bewegung, Rechteausweitung, Datenexfiltration – muss die Identitätsebene passieren. Die Kontrolle dieses Vorgangs zur Laufzeit ist die Architektur, die tatsächlich gegen Angriffe in KI-Geschwindigkeit wirksam ist.
Mythos hat bekannte Identitätslücken von einem theoretischen Risiko in operative Realität verwandelt. Nutzen Sie es, um Identität von einer Managementfunktion zu einer Sicherheitsmaßnahme an vorderster Front zu machen.
Dienstkonten und Maschinenidentitäten sind ein Hauptziel
Offensive KI-Agenten authentifizieren sich mit übermäßig privilegierten Konten – ihre Aktionen bleiben unkontrolliert und ihr Verhalten wird anhand keinerlei Daten verglichen. In einem Beispiel, in dem Mythos zum Einsatz kam, verhinderte die virtuelle Abschirmung eines einzelnen Dienstkontos die vollständige Kompromittierung einer Domain. Dieses Konto war in allen vorherigen Red-Team-Einsätzen missbraucht worden.
Mythos wird Ihre AD-Haltung ausnutzen
Ein einzelner Active Directory Fehlkonfigurationen erzeugen durchschnittlich 109 Schattenadministratorkonten. Fast jedes dritte AD-Konto ist ein hochprivilegiertes Dienstkonto, und 67 % der Unternehmen synchronisieren AD-Passwörter mit der Cloud. KI-gestützte Angreifer sind Experten darin, diese Schwachstellen aufzuspüren und zu verknüpfen, um ihre Berechtigungen auszuweiten.
MFA-Lücken in Altsystemen und Eigenentwicklungen sind nicht länger akzeptabel.
Jeder Authentifizierungsvorgang ohne strenge Kontrollen birgt das Risiko des Missbrauchs von Anmeldeinformationen. Veraltete Protokolle wie NTLM und unkontrollierte Authentifizierungspfade schaffen Sicherheitslücken, die Angreifer ausnutzen können. Die Ausweitung der Multi-Faktor-Authentifizierung (MFA) auf alle Authentifizierungsvorgänge und Ressourcen bei gleichzeitiger Abschaffung von NTLM reduziert die Angriffsfläche erheblich.
Die Antwort
Inline- und Laufzeitzugriffskontrollen stoppen Angriffe sofort.
Adaptive Authentifizierung mit mehrstufiger Multi-Faktor-Authentifizierung, Just-in-Time-Zugriff, virtueller Abschirmung von Dienstkonten und Identitätssegmentierung erwies sich als wirksam, um Mythos-basierte Angriffe zu stoppen. Durch die Durchsetzung von Kontrollen zum Zeitpunkt der Authentifizierung können Unternehmen die laterale Ausbreitung und die Rechteausweitung blockieren, auf die KI-gestützte Angreifer angewiesen sind.
Ihre Umwelt in Zahlen
109
Schattenadministratorkonten aufgrund einer einzelnen AD-Fehlkonfiguration
67 %
Wenn Organisationen AD-Passwörter mit der Cloud synchronisieren, wird die Kompromittierung lokaler Systeme zu einer Kompromittierung der Cloud.
37 %
Administratoren authentifizieren sich über NTLM, wodurch Angreifer Zugriff auf Klartextpasswörter erhalten.
1 in 3
Bei diesen Accounts handelt es sich um hochprivilegierte Service-Accounts – und die meisten werden nicht überwacht.
Im Inneren des Mythos von Anthropologie
Mythos in freier Wildbahn: Wie eine vollständige Domänenkompromittierung ohne Laufzeitkontrollen abläuft
Es handelt sich hierbei um eine Zusammenstellung von Red-Team-Einsätzen ohne neuartige Techniken und mit sehr wenigen Zero-Day-Schwachstellen. Im Wesentlichen geht es um Identitätsprobleme, die in praktisch jedem Unternehmen auftreten und in rasanter Geschwindigkeit verkettet werden.
Schritt 01:
Erster Zugang auf niedriger Ebene
Das Modell und abgeleitete Agenten erlangten durch eine Kombination aus Sicherheitslücken und übermäßig berechtigten Identitäten einen praktikablen Weg zum Domänenzugriff.
Schritt 02:
Erweiterte Berechtigungen erhalten
Überprivilegierte Servicekonten und wiederverwendete Zugangsdaten wurden identifiziert und ausgenutzt. Erstmals wurden erhöhte Berechtigungen erlangt. Dies geschah noch innerhalb der Laborumgebung.
Schritt 03:
Entkomme der Testphase und schaffe es in die Produktion
Die Laborgrenze wurde überschritten. Mythos nutzte falsch konfigurierte Vertrauensbeziehungen, um sich seitlich in die Produktionsumgebung auszubreiten.
Schritt 04:
Privilegien eskalieren
Zwei weitere Schritte zur Rechteausweitung durch Verkettung von ESC1-Fehlkonfigurationen und Schattenadministratorkonten. Domänenadministratorzugriff erlangt.
Schritt 05:
Seitliche Bewegung mithilfe von Servicekonten
Dienstkonten und Identitätsinfrastruktur werden für den vollständigen Angriff ins Visier genommen.
Schritt 06:
Erhalten Sie Domänenzugriff auf die Infrastruktur
Durch einen Verzeichnisreplikationsangriff können Hashes von Produktionspasswörtern extrahiert werden.
Argumente für Laufzeitidentitätssicherheit
Drei Dinge, die jetzt wahr sind
01
Die traditionellen Sicherheitskontrollen brechen zusammen
Es werden weiterhin CVEs veröffentlicht. Patches werden weiterhin bereitgestellt. Erkennungstools werden weiterhin Warnungen ausgeben. Doch all das ist nicht schnell genug, um einen KI-gestützten Angriff zu verhindern, der mithilfe von Fehlkonfigurationen und bereits vorhandenen Zugangsdaten eine vollständige Domänenkompromittierung ermöglicht. Die Annahmen, auf denen diese Kontrollmechanismen basierten, sind nicht mehr gültig.
02
Identität ist nun der Kontrollpunkt
Identität ist nicht nur ein Kontrollpunkt – sie ist die Kontrollpunkt. Um sich seitlich zu bewegen, Berechtigungen zu erweitern, auf sensible Daten zuzugreifen oder kritische Systeme zu erreichen, müssen Angreifer Identitätsgrenzen überwinden. Daher haben sich Laufzeit-Identitätskontrollen zu einer der effektivsten Methoden entwickelt, Angriffe einzudämmen, bevor sie zu Betriebsunterbrechungen führen.
03
KI-gestützte Angriffe erfordern Laufzeitsteuerungen, da nichts anderes schnell genug ist.
Die Laufzeitumgebung ist die einzige Möglichkeit, die im Zeitalter agentenbasierter Angriffsoperationen erforderliche Geschwindigkeit und Entscheidungsfindung zu gewährleisten. Die Inline-Durchsetzung vor Abschluss der Authentifizierung ist die einzige Kontrollmaßnahme, die mit der gleichen Geschwindigkeit wie der Angreifer arbeitet. Das ist es, was Silverfort wurde entwickelt, um überall Leistung zu erbringen – von AD bis KI.
Der nächste Schritt
Seien Sie Mythos einen Schritt voraus.
Verwandeln Sie Ihre Identitätsebene in einen Kontrollpunkt. Erfahren Sie, wie Unternehmen ihre Identitätsinfrastruktur mit Runtime Identity Security gegen KI-gestützte Angriffe absichern.